Technische Richtlinie für Cyber-Resilienz-Anforderungen

Der erste Teil, der die Vielzahl der Anforderungen aus dem Cyber Resilience Act an Hersteller konkretisiert und erklärt, wurde am 31.7.2026 als lebendes Dokument in der Version 1.0.0 veröffentlicht.

Gerade aus dem ersten Teil der technischen Regel können bereits grundlegende Anforderungen an Hersteller und Produkte hervorgehoben werden: 

1. Sicherheitsdesign: Produkte mit digitalen Elementen müssen sicher entwickelt, produziert und aktualisiert werden. Hersteller sind verpflichtet, bewährte Praktiken im Softwareentwicklungszyklus zu implementieren und Sicherheitsanforderungen wie den Schutz von Datenvertraulichkeit und -integrität zu gewährleisten.
2. Risikobewertung: Hersteller müssen eine Risikoanalyse über den gesamten Lebenszyklus des Produkts durchführen, um potenzielle Bedrohungen und deren Auswirkungen zu identifizieren. Diese Analyse muss dokumentiert und regelmäßig aktualisiert werden.
3. Sicherheitsupdates: Produkte müssen regelmäßige Sicherheitsupdates erhalten, um Schwachstellen zu beheben. Hersteller sind verpflichtet, einen Mechanismus für automatische Updates bereitzustellen, der standardmäßig aktiviert ist. Außerdem müssen Benutzer über verfügbare Updates informiert und in der Lage sein, Updates vorübergehend zu verschieben.
4. Zugangskontrolle: Es müssen Maßnahmen zum Schutz vor unbefugtem Zugriff implementiert werden, einschließlich starker Authentifizierungsmechanismen und der Möglichkeit, Passwörter individuell festzulegen.
5. Schwachstellenmanagement: Hersteller müssen ein System zur Identifizierung, Bewertung und Behebung von Schwachstellen betreiben. Sie müssen Nutzer über entdeckte Sicherheitslücken informieren und zügig Updates bereitstellen.
6. Dokumentation: Eine umfassende technische Dokumentation, die Informationen über Design, Entwicklungsprozesse und Sicherheitsrisiken enthält, ist erforderlich. Diese Dokumentation sollte auch Details zu durchgeführten Tests und unterstützten Komponenten umfassen.

Zusammengefasst zielen die Anforderungen darauf ab, dass Produkte sicher entwickelt und kontinuierlich aktualisiert werden, um potenziellen Cyberbedrohungen standzuhalten und die Benutzer sicherzustellen.
 

Download der BSI TR-03183-1 (Version 1.0.0)

Die Version 1.0.0 der BSI TR-03183-1: Cyber Resilience Requirements - Part 1: General requirements Version 1.0.0 können Sie über folgenden Link öffnen und herunterladen.

BSI TR-03183-1

Weitere Teile der Richtlinie

Teil 2 (Software-Bill-of-Material – SBOM) beschreibt, wie die Anforderung des CRA hinsichtlich des Nachweises der Software-Lieferketten aussehen kann. Die finale Fassung des 2. Teils wurde im August 2025 in neuer Ausgabe veröffentlicht.

Teil 3 mit dem Titel "Vulnerability Reports and Notifications" gibt Empfehlungen zum Umgang mit eingehenden Schwachstellenmeldungen und wurde vom BSI Ende August 2025 in der erstmaligen finalen Ausgabe bereitgestellt.

Die Volltexte der beiden technischen Richtlinien können Sie über die jeweiligen Links aufrufen: